Um banner de cookies que bloqueia a sério: Consent Mode v2 e prova do consentimento

Quase todas as lojas têm um banner de cookies. Muito menos têm um banner que funcione. É comum abrir uma loja numa janela privada, não tocar em nada e ver já no navegador os cookies de análise, do píxel de publicidade e do chat. O banner está lá, com os seus botões, mas não impede nada: é decoração.

Este artigo não faz uma revisão geral do RGPD. Trata de três coisas concretas: como saber se o seu banner bloqueia mesmo, que papel tem o Google Consent Mode v2 e que prova tem de guardar de cada decisão do visitante.

O que a lei exige, em resumo

O artigo 22.2 da LSSI (a lei espanhola de serviços da sociedade da informação) diz que os cookies que não são estritamente necessários só podem ser instalados com o consentimento informado do utilizador. O consentimento tem de cumprir o que o RGPD exige: livre, específico, informado e inequívoco. E o artigo 7.º, n.º 1, do RGPD acrescenta algo que se esquece: o responsável tem de poder demonstrar que o titular dos dados deu o seu consentimento.

O guia de cookies da AEPD (a autoridade espanhola de proteção de dados) concretiza como se faz na prática. Os dois pontos mais incumpridos:

• Rejeitar tem de ser tão fácil como aceitar. Se «Aceitar» é um botão verde grande e «Rejeitar» é uma ligação cinzenta escondida numa segunda camada, o consentimento não é livre.
• Antes da decisão não se instala nada que não seja necessário. Nem análise, nem publicidade, nem vídeos incorporados que colocam os seus próprios cookies.

Porque é que tantos banners não bloqueiam nada

No PrestaShop, cada módulo coloca os seus scripts onde entende: no <head>, no fim da página ou carregados depois por JavaScript. Um banner que apenas «desenha» a janela e guarda um cookie com a resposta não tem forma de travar o que outros módulos já injetaram. As falhas típicas:

1. O banner carrega depois das etiquetas. Quando o visitante vê a janela, o Google Analytics ou o píxel já dispararam.
2. Bloqueio de módulos inteiros. Alguns módulos de cookies desativam módulos inteiros até haver consentimento. Funciona com um píxel, mas se o módulo bloqueado for um método de pagamento ou um sistema de financiamento, o checkout deixa de funcionar para quem rejeita.
3. O que é adicionado por JavaScript escapa. Um chat ou um widget que cria os seus scripts e iframes no navegador, depois de a página carregar, não passa por nenhum filtro do servidor.
4. Os iframes não são tocados. Um vídeo do YouTube ou um mapa incorporado colocam cookies de terceiros assim que carregam.
5. O inventário de cookies está desatualizado. A política de cookies lista o que existia no dia em que foi redigida e, desde então, foram instalados três módulos novos.

Como verificar o seu em cinco minutos

1. Abra a loja numa janela privada, sem iniciar sessão.
2. Abra as ferramentas de programador do navegador, o separador de armazenamento (cookies e localStorage) e o de rede.
3. Não toque no banner. Percorra a página inicial, uma categoria e uma página de produto.
4. Veja que cookies existem e a que domínios foram feitos pedidos. Tudo o que não for técnico (sessão, carrinho, idioma, o próprio cookie de consentimento) não devia estar lá.
5. Clique em «Rejeitar todos», apague os cookies, recarregue e repita. Deve ficar igualmente limpo.
6. Faça uma compra de teste depois de rejeitar: o pagamento tem de funcionar.

Se no passo 4 vir cookies de análise ou de publicidade, o seu banner não está a cumprir, por mais bonito que seja.

Google Consent Mode v2: o que é e o que não é

O Consent Mode é a forma como as etiquetas da Google (gtag, Google Tag Manager, Google Ads, GA4) recebem a decisão do visitante. Não é um banner nem substitui o consentimento: é o canal pelo qual o seu banner diz à Google o que pode fazer.

A versão 2 usa quatro sinais principais:

A Google pede estes sinais para continuar a usar funcionalidades de publicidade e de públicos com visitantes do Espaço Económico Europeu. Se não chegarem, a medição de conversões e as listas de remarketing ressentem-se.

Básico ou avançado

• Modo básico: as etiquetas da Google não carregam até o visitante aceitar. É o mais prudente.
• Modo avançado: as etiquetas carregam desde o início com tudo recusado, enviam pings sem cookies e atualizam-se quando o visitante decide. Permite à Google modelar conversões, mas convém avaliá-lo com quem o aconselha em proteção de dados.

O detalhe técnico que mais falha: o valor predefinido do consentimento tem de ser declarado antes de qualquer etiqueta da Google, logo no início do <head>. Se o GTM carregar antes, as suas etiquetas arrancam sem saber nada do consentimento.

A prova do consentimento

Se um dia lhe pedirem que demonstre que um visitante aceitou a publicidade, «temos um banner» não é resposta. O razoável é guardar, por cada decisão:

• Um identificador do consentimento, o mesmo que fica guardado no cookie do visitante.
• Data e hora.
• Que categorias aceitou e quais rejeitou, e os sinais enviados ao Consent Mode.
• A versão da política em vigor e o que lhe era mostrado: textos, categorias, fornecedores.
• O IP truncado ou com hash, não completo, para não guardar mais dados do que os necessários.

E uma regra de manutenção: se mudar as categorias ou surgir um fornecedor novo, volte a perguntar. O que o visitante aceitou há seis meses não cobre um píxel que instalou ontem.

Uma loja atualizada também é isto

Muitos módulos de cookies de lojas que estão há anos na 1.6 ou na 1.7 ficaram pela primeira versão do Consent Mode, ou por nenhuma. Quando atualizar o PrestaShop ou migrar de versão, reveja o banner com o mesmo teste da janela privada: é das primeiras coisas a deixar de funcionar sem aviso, porque ninguém olha para os cookies depois de uma migração.

Checklist

• «Rejeitar todos» ao mesmo nível que «Aceitar todos», na primeira camada.
• Janela privada sem decidir: só cookies técnicos.
• Compra de teste depois de rejeitar: o pagamento funciona.
• Consent Mode v2 declarado antes do GTM ou do gtag, com os quatro sinais.
• Vídeos e mapas incorporados retidos até aceitar.
• Registo de cada decisão, exportável.
• Política de cookies com o inventário real, e nova versão quando mudar.
• Uma ligação ou botão permanente para o visitante mudar de ideias.

Como resolver no PrestaShop

O RKR Cookies apresenta «Rejeitar todos» e «Aceitar todos» como o mesmo botão, sem que se possam diferenciar a partir do back office, e declara o Consent Mode v2 logo no início do <head>, em modo básico ou avançado. O bloqueio é real: reescreve o HTML para deixar inertes os scripts das categorias não aceites, substitui os iframes por um aviso com «Carregar este conteúdo» e trava no navegador o que é adicionado por JavaScript, sem nunca bloquear os módulos de pagamento. Guarda cada decisão com o respetivo instantâneo e exporta-a para CSV, mantém um inventário de cookies que se preenche sozinho e uma tabela para a sua política. Importa a configuração do hicookielaw, do Cookies Plus e do EU Cookie Law, e tem um modo de teste para o ver antes dos seus clientes.

Este artigo é informativo e não substitui aconselhamento jurídico. Para um caso concreto, consulte quem o aconselha em proteção de dados.